来源：Coindesk

编译：Echo

校对：黄非红

我们知道，一些存在安全漏洞的智能合约在使用之后造成了重大损失，有时候损失甚至多达数亿美元。

去年10月，Amberdata 推出了一款免费的安全审查工具，让何人都可以无门槛使用这个工具来了解以太坊链上活跃应用的安全状况。

这个工具可以自动扫描查找智能合约代码中的常见漏洞，并就去中心化应用（dApp) 的安全性进行评级（例如 A级、B级或C级）。

其实，这一功能其实已经在网络上存在过很长一段时间了。重视隐私的浏览器 DuckDuckGo 最近发布了一款 Chrome 浏览器插件，可用于对网站进行评级，使用户可以很轻易了解到某个网站在保护用户隐私方面的服务是优是劣。

“我们的愿景是提高线上信任的标准”，DuckDuckGo 2017年1月发布的一篇博文写道。

同样的，Amberdata 首席执行官 Shawn Douglass 也强调，Amberdata 安全评级工具的愿景，是提供“更好的智能合约访问体验及提高智能合约的透明度。”

他还说道：

“我们希望，我们为以太坊社区提供的这些工具，可以减轻对外部工具的依赖，使得社区成员可以更快更安全地去进行开发工作。”

01

关于评级

那 Amberdata 究竟是如何对以太坊上的应用进行评级的呢？

Amberdata 的首席技术官 Joanes Espanol 说，该系统自动扫描13种漏洞，并将这些漏洞比作“汽车仪表板上的引擎指示灯。”

“这意味着，我需要检查汽车的故障究竟是什么。所有这些漏洞都可能导致安全性错误，” Espanol 告诉 Coindesk。

Amberdata 安全扫描工具监测到的安全错误越多，该 dApp 获得的等级评定就越低。评级的范围从 A+ 一直降到到 F。

但评级并不是严格按照安全错误的个数来评定的。这13种漏洞的严重程度各不相同，这些会影响 dApp 最终获得的评级。Espanol 指出了两种常见的严重等级低的漏洞，它们是“用户地址委托调用"以及“外部合约消息调用”。

后者可能会带来潜在的安全风险。“外部合约的消息调用”不是一种影响智能合约自身的漏洞，但它可能会调用其它有错误代码的合约。

类似地，“用户地址委托调用"是另一种操作，通常被用于将智能合约代码分成多个子合约，因此，必要的软件升级可以在不终止整个应用的情况下分步进行。

这其实是委托调用的优势。但其劣势在于，作为智能合约的持有者，我可以有做坏事的条件了。我可以替换掉那些对原始应用的行为进行更改的合约，” Espanol 解释道。

由此可见，考虑到这两个方面， Espanol 将安全审计称为发送“警告”，而不是指出代码错误。

实际上，确实有一个使用消息调用的功能的 dApp，它就是 TrueUSD。TrueUSD 是由区块链初创公司 TrustToken 设计研发的，是一种与美元挂钩的以太坊稳定币。去年10月，Amberdata 将它的安全等级评定为C级。今年年初，它将智能合约升级更新后，安全等级上升为A级。

TUSD

针对 TrueUSD 被检测出来的漏洞，TrustToken 的安全工程师 William Morriss 在此前一次采访中告诉 CoinDesk说，所有被监测到的问题都不是真正的“问题”。

Morriss 说：“那被检测出来的漏洞是不会对我们进行攻击的漏洞……我们知道有这些漏洞，有人告诉我们的时候，我们都十分严肃地对待。”

在谈到消息调用的问题时，Morriss 特别补充道，对于 TrueUSD 来说，所有外部合约都由它们的公司自己持有并运营，并不通过安全性可能较低的第三方。

02

如何在评中级获得 A+ 

严重程度为“高”的错误将对应用程序的安全性评级造成更大的冲击，因为这表明代码错误和被利用的可能性很大。

其中最常见的一个错误是“整数溢出”，表示在智能合约中执行的操作可能产生超出代码限制的值，从而导致奇怪的、不可预测的行为，甚至有可能导致资金损失。

另一个方面就是“整数下溢”，也是严重程度为“高”的一个漏洞，该漏洞可能导致低于代码限制的值，而低于定义范围的值同样会导致错误输出。

根据 Amberdata 的评级系统，dApp 开发人员应避免使用 Solidity 的一些功能，包括“suicide()” 和 “tx.origin.”。后者被 Espanol 称为”废弃代码“，在未来某天会被人们从 Solidity 语言算法中移除。而前者有被外界劫持的风险，可能导致资金被冻结——且永远无法找回。

著名以太坊应用 CryptoKitties 由于没有上述四种漏洞，目前被 Amberdata 评为安全等级 A+。CryptoKitties 软件工程师 Fabiano Soriani  将其原因归结为“他们尽可能多地进行了测试”。

CryptoKitties

谈到诸如书面文档和视频教程这样的“被动资源”并不足以在以太坊上搭建安全应用时， Soriani 告诉 CoinDesk：

“有人进行审计工作时会为你点明一些事情。（相比起被动资源来说）这是非常好的补充资源，因为那些来自传统行业的开发者对区块链并不熟悉。”

03

“这是一系列新问题”

确实，在搭建 dApp 时，很多人不能理解代码的严谨性和紧密性的重要性。主要原因有两点：

其一，与传统应用不同，dApp 通常是开源计算程序，正如 Morriss 所说的，在运行“公共”代码时，需要“有高度的警惕性”。

Morriss 说：“一个传统应用如果有了漏洞，可能好几年内这个漏洞都不会带来什么伤害……但如果智能合约中有一个漏洞，攻击者可以很快检测到并加以利用，最后导致你惨遭重创或着让攻击者赚得盆满钵满。”

其二，以太坊上的 dApp 是为智能合约专用的。它是用 Solidity 编程语言特别编码的，并在该区块链的神经中心——以太坊虚拟机（EVM）中运行的。dApp 的重大优势是无法被篡改。

但其缺点也显而易见。一旦软件部署到以太坊上，程序员就很难其错误或漏洞进行修订。

Morriss 将利用上述理由来跳过第三方安全审计或扫描的行为称为”严重错误"，他告诉CoinDesk，对开发者来说，不要因为自己的“傲慢”而让整个合约成为受害者，一定要进行“覆盖到代码所有分支的测试”。

Espanol 向 CoinDesk 强调说：“对于以太坊来说，这是人们使用 Solidity 进行编码时没意识到的一系列新问题。”

Amberdata是新一代区块链资源管理器，并且用于监测、搜索、分析及保护公链和私链的高级数据分析平台。我们致力于收集、处理并搭建 API 来帮助人们解读区块链信息。您可以通过我们的 API 文档来查看这些图表的数据源，也可以将我们的@Crypto Slack 机器人添加到 Slack 中来获取实时市场数据，欢迎关注公众号或加入我们的中国社群，以便获取到最先进的以太坊研究进度，以及能最快知道我们发布了哪些新功能。

如果您想了解更多Amberdata.io相关信息，

我们的网站：https://amberdata.io/

我们的官方推特账号Amberdataio

我们的官方微信公众号：Amberdata（amberdata_china)